ANSPDCP Rumunjska: GDPR rizici u BPO-u
Rumunjsko tijelo za privatnost pojacava GDPR provedbu. Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (ANSPDCP) pokriva jedan od najbrze rastuih sektora externalizacije u EU-u.
Bukurest, Cluj-Napoca i Iasi obrauju zapise EU graana iz Njemacke, Francuske, UK-a i Nizozemske. ANSPDCP je izrekao 1,8 milijuna eura GDPR kazni od 2022. do 2024. BPO i tvrtke za externalizaciju bile su u vecini tih slucajeva.
Izlozenost BPO-a: cetiri kljucna rizicna podrucja
Veliki obujam osobnih zapisa. Pozivni centri rjesavaju sporove oko racuna. Obrauju imena, adrese, brojeve racuna i povijest placanja. Timovi za IT podrsku pristupaju korisnickim sustavima. Ti sustavi sadrze osobne podatke.
EU graanski zapisi se obrauju u inozemstvu. Zahvacene osobe su cesto Nijemci, Francuzi, Nizozemci ili Britanci. Kada doe do krsenja, obraaju se svom maticnom regulatoru. To dodaje izlozenost prema BfDI, CNIL, ICO ili AP NL uz vlastitu ANSPDCP-ovu. Za vise o prekogranicnim slucajevima, pogledajte nas vodic za GDPR BfDI Njemacka.
Slabi lanci subprocesora. ANSPDCP je utvrdio da 45% lokalnih tvrtki nema valjane Ugovore o obradi podataka sa svojim subprocesorima. Svaki DPA mora navesti tehnicke korake koje e subprocesor poduzeti.
Praznine u opozivu pristupa. BPO ima visoku fluktuaciju osoblja. ANSPDCP otkriva bivse zaposlenike s aktivnim pristupom tjednima nakon odlaska. Ovo se pojavljuje u predmetu za predmetom.
CNP: rumunjski kljucni identifikator
Cod Numeric Personal (CNP) je 13-znamenkasti nacionalni identifikacijski broj. Pohrana kljucne osobne cinjenice:
- Znamenka 1: Spol i stoljece roenja (1=muski 1900.-1999., 2=zenski 1900.-1999., 5=muski 2000.+, 6=zenski 2000.+, 7=muski strani rezident, 8=zenski strani rezident)
- Znamenke 2-7: Datum roenja (GGMMDD)
- Znamenke 8-9: Sifra zupanije roenja
- Znamenke 10-12: Redni broj
- Znamenka 13: Kontrolna znamenka (vagani modulus 11)
CNP pohranjuje spol, datum roenja, regiju roenja i status rezidenta. To ga cini daleko bogatijim od vecine EU identifikacijskih dokumenata. ANSPDCP je stavio CNP blizu statusa posebne kategorije.
Praznina u otkrivanju. ANSPDCP-ova revizija 2024. utvrdila je da 78% PII alata u tvrtkama za externalizaciju ne uspijeva otkriti CNP. Vecina nema provjere kontrolne sume. CNP-brojevi u korisnickim i zaposlenickim evidencijama prolaze neprimijceni. Zapisi poslani maticnim tvrtkama mogu sadrzavati zive graanske podatke. Post-krsenje revizije otkrivaju CNP u datotekama oznacenima kao "anonimizirane".
Provedbeni fokus: 2024.-2025.
Audio pozivnog centra. ANSPDCP je ciljao snimke bez plana zadrzavanja ili kontrola pristupa. Cuvanje zvuka "neodreeno za uskladivanje" bez plana brisanja krs GDPR.
Zdravstvena externalizacija. Tvrtke koje obrauju medicinske evidencije, zahtjeve ili evidencije recepata suocavaju se s najveim rizikom. Zdravstveni zapisi su posebna kategorija prema clanku 9. Zahtijevaju izricitu pravnu osnovu, DPIA i jake tehnicke kontrole.
Evidentiranje pristupa. ANSPDCP revizije otkrivaju slabe dnevnike. Tvrtke ne mogu pokazati kojim se evidencijama pristupalo, od koga ili kada. Dnevnici moraju biti dovoljno potpuni da se opseg krsenja moze odrediti nakon sto se dogodi.
Jezik: skrivena praznina
Lokalni dokumenti sadrze identifikatore koje genericni alati propustaju.
Cartea de identitate (CI). Ovo je nacionalna osobna iskaznica. Ima vlastiti format broja. Skenirane kopije u datotekama za registraciju trebaju specificnu logiku za otkrivanje.
NER specificne za jezik. Tiketi podrske i korisnicke poruke trebaju NLP izgraen za taj jezik. Alati trenirani na engleskom slabo se ponasaju ovdje.
Formati adresa. Pojmovi kao Strada, Bulevardul i Numarul jedinstveni su za to trziste. Modeli trenirani na engleskom ili njemackom cesto ih propustaju.
Za korake za ispunjavanje ANSPDCP-ovog standarda, pogledajte nas vodic o dosljednosti anonimizacije za GDPR revizije.
Sto trebaju BPO tvrtke
Cetiri stvari pokrivaju ANSPDCP-ov tehnicki standard:
- Otkrivanje CNP-a s validacijom kontrolne sume
- Otkrivanje Cartea de identitate i putovnice
- NER specificna za jezik
- Sporazumi s subprocesorima s navedenim tehnickim koracima